AML Baseada no Risco na Era da IA: Perceber a Reforma Proposta pela FinCEN

Uma Proposta, Não Uma Nova Obrigação

A 7 de abril de 2026, a Financial Crimes Enforcement Network dos EUA (FinCEN) anunciou uma regra proposta para reformar os programas de combate ao branqueamento de capitais e ao financiamento do terrorismo (AML/CFT) ao abrigo do Bank Secrecy Act. Abrangeria instituições financeiras cobertas, incluindo bancos, money services businesses, corretores, fundos mútuos, seguradoras e certos mutuantes.

O anúncio introduz uma proposta. Não põe, por si, estas alterações em vigor. O texto foi publicado no Federal Register a 10 de abril de 2026 e substitui integralmente a proposta de programa AML da FinCEN de julho de 2024.

Para os responsáveis de compliance, as alterações propostas dizem respeito à forma como os programas AML são concebidos e implementados, à forma como os recursos são afetados à atividade de maior risco e à forma como a eficácia do programa é avaliada, em especial na supervisão bancária. A direção já é operacionalmente útil: a capacidade de explicar porque é que os controlos respondem aos riscos da instituição, e de demonstrar que esses controlos funcionam, passa para o centro da discussão.

Para um responsável de compliance que gere filas de onboarding, alertas de rastreio, revisões internas e pressão comercial, isto levanta uma pergunta familiar: como pode uma equipa limitada dedicar atenção suficiente aos casos que exigem julgamento profissional?

A IA pode ajudar, desde que o seu papel esteja claramente definido e o seu desempenho possa ser avaliado.

---

O Que a FinCEN Está Realmente a Pedir

A proposta enfatiza programas razoavelmente concebidos e baseados no risco. Distingue deficiências na conceção do programa de falhas na implementação. Procura também expectativas mais claras para os testes independentes e uma supervisão mais consistente.

Essa distinção importa. Um programa que nunca foi concebido em torno do risco real da instituição é uma constatação diferente de um programa concebido corretamente e depois executado mal. A discussão que acompanha a proposta também incentiva as instituições a considerar aprendizagem automática, IA generativa, identidade digital e outras abordagens inovadoras. Afirma que nenhuma tecnologia em particular é exigida.

A nossa leitura é prática. As instituições devem avaliar onde a IA pode melhorar o trabalho AML e produzir prova dessa melhoria. A tecnologia é opcional. Conseguir mostrar que o programa é baseado no risco, e que opera como está escrito, não é.

Para os cinco pilares de programa BSA sobre os quais esta reforma assenta, veja construir um programa BSA/AML que resiste a uma inspeção nos EUA. Para o que os inspetores pedem de facto, veja preparação para exames AML da SEC.

---

Dar aos Responsáveis de Compliance Mais Tempo para Investigar

Uma parte substancial da diligência devida do cliente é preparar informação para uma decisão. As equipas pedem documentos, conciliam nomes e moradas, analisam registos de titularidade, examinam resultados de rastreio e montam o ficheiro de suporte.

A IA pode ajudar nestas tarefas ao extrair informação, identificar inconsistências e preparar sínteses ligadas à prova subjacente. Isso dá ao revisor um ponto de partida mais claro, sobretudo quando a informação chega em vários documentos ou línguas.

Considere um cliente societário cujo formulário de onboarding identifica um beneficiário efetivo, enquanto os registos de suporte indicam uma camada adicional de titularidade. Um sistema útil assinalaria a discrepância, identificaria os documentos relevantes e indicaria que informação continua em falta. O responsável de compliance pode então avaliar a estrutura, pedir esclarecimentos e decidir se é adequada diligência adicional.

O benefício operacional é um processo melhor preparado, com as questões por resolver visíveis antes de se tomar uma decisão. Mapear a cadeia de titularidade, em vez de aceitar a entidade nomeada, é o mesmo controlo descrito em verificação de titularidade efetiva.

---

Tornar os Resultados de Rastreio Mais Fáceis de Avaliar

Uma possível correspondência de rastreio exige contexto. Nomes semelhantes podem referir-se a pessoas diferentes, e um revisor pode precisar de comparar datas de nascimento, nacionalidades, localizações, ligações empresariais e a fonte subjacente.

A IA pode ajudar a organizar esses detalhes e a destacar informação que reforça ou enfraquece uma possível correspondência. A informação em falta deve permanecer visivelmente por resolver. Um sistema não deve transformar uma comparação incompleta num descarte confiante.

Para os responsáveis de compliance, o resultado útil é uma avaliação rastreável: o que desencadeou o alerta, que informação foi comparada, o que permanece incerto e quem tomou a decisão final.

Esse é o mesmo padrão de que um programa de rastreio precisa, independentemente de haver IA. Veja rastreio AML e verificação de listas para a diferença entre um hit de sanções, uma correspondência PEP e notícias adversas, e rastreio OFAC para fundos privados nos EUA para perceber porque é a titularidade, e não a assinatura, o verdadeiro controlo.

---

Transformar a Avaliação de Risco em Decisões do Dia a Dia

Uma abordagem baseada no risco precisa de influenciar a forma como o trabalho é tratado. Características do cliente, complexidade da titularidade, exposição geográfica e inconsistências na informação de suporte podem todas informar quais os casos que merecem atenção mais próxima.

A IA pode ajudar a organizar estes indicadores e a encaminhar ficheiros de acordo com as políticas da instituição. A equipa de compliance deve conseguir compreender as razões de uma escalada, ajustar limiares e contestar uma recomendação.

Por exemplo, um ficheiro com informação de titularidade incompleta e explicações conflitantes sobre a origem dos fundos pode justificar revisão prioritária. O valor da automatização está em tornar essas questões visíveis cedo e em garantir que o ficheiro chega a alguém com autoridade e experiência para o investigar.

Se o modelo não consegue explicar porque é que um ficheiro foi escalado, não apoia um programa baseado no risco. Apoia uma fila. IA explicável no KYC é o tratamento mais longo desse requisito.

---

Construir Prova Que o Responsável de Compliance Possa Defender

Quando uma decisão é questionada internamente ou durante uma inspeção, o responsável de compliance precisa de reconstruir o que aconteceu.

Um fluxo de IA bem concebido deve preservar os documentos analisados, a informação de rastreio disponível na altura, as questões identificadas e a decisão do revisor. Afirmações materiais em sínteses geradas devem ligar-se à prova de suporte. Correções e anulações também devem ser registadas.

Isto torna o trilho de auditoria útil ao longo de toda a relação com o cliente. Outro revisor deve conseguir compreender porque é que o cliente foi aceite, que preocupações foram resolvidas e que condições exigem acompanhamento.

Um relatório gerado por IA só é útil na medida em que o seu conteúdo seja exato, suficientemente completo para a tarefa e aberto a verificação. Para a versão de ficheiro de exame do mesmo problema, veja como construir um trilho de auditoria AML defensável.

---

Medir Se a IA Melhora o Programa

Para um responsável de compliance a avaliar uma nova ferramenta, a velocidade de processamento é apenas uma parte da avaliação. Um piloto prático deve também examinar:

• Exatidão. O sistema extrai e compara corretamente a informação material?
• Preocupações falhadas. Deixa de identificar discrepâncias ou indicadores de risco que os revisores esperariam que apanhasse?
• Qualidade da revisão. As sínteses estão sustentadas no material de origem, e com que frequência os revisores as corrigem?
• Escalada. Os casos incertos ou complexos chegam à pessoa adequada?
• Capacidade. A ferramenta cria mais tempo para investigação e acompanhamento?
• Rastreabilidade. A equipa consegue reconstruir a prova e o raciocínio por trás de uma decisão?

Os testes devem incluir documentos incompletos, correspondências ambíguas e estruturas de titularidade complexas. Esses casos revelam como o sistema se comporta quando a informação é difícil de interpretar.

Os resultados dão aos responsáveis de compliance uma base concreta para decidir onde a automatização é adequada e onde são necessários controlos adicionais.

---

Manter a Responsabilidade Clara

A instituição deve definir quem aprova clientes, resolve alertas materiais, autoriza exceções e altera limiares de risco. Os responsáveis de compliance também precisam de uma forma prática de pausar ou restringir a automatização quando o desempenho fica abaixo das expectativas.

O tratamento de dados pertence à mesma avaliação. Antes de implementar uma ferramenta, as equipas devem compreender quem pode aceder a informação de clientes, como é retida e se é usada para treinar modelos.

Responsabilidades claras e acesso à prova de suporte permitem aos profissionais de compliance exercer supervisão efetiva à medida que a tecnologia assume mais do trabalho preparatório.

Na VeriKYC, apoiamos esta abordagem ao reunir recolha documental, verificação de identidade e rastreio LSEG World-Check num único fluxo, com um trilho de auditoria exportável. O objetivo é dar aos responsáveis de compliance uma base de prova organizada para a diligência devida do cliente, ajudando-os a identificar questões por resolver e a aplicar o seu julgamento no programa AML mais amplo da instituição.

Para responsáveis de compliance a considerar IA, o ponto de partida mais sólido é um problema operacional concreto: um gargalo na revisão documental, trabalho repetido de reconciliação ou prova de rastreio mal organizada. Defina a melhoria esperada, teste-a com casos reais e dê aos revisores a capacidade de contestar o resultado.

---

Perguntas Frequentes

A reforma de programas AML/CFT da FinCEN de abril de 2026 já está em vigor?

Não. A FinCEN emitiu um aviso de proposta de regulamentação a 7 de abril de 2026. O texto foi publicado no Federal Register a 10 de abril. Até ser adotada uma regra final e definida uma data de produção de efeitos, continuam a aplicar-se as regras de programa BSA em vigor. A proposta continua a ser o documento que indica para onde a supervisão se dirige.

A proposta exige que as instituições usem IA?

Não. A FinCEN incentiva as instituições a considerar aprendizagem automática, IA generativa, identidade digital e outras abordagens inovadoras, e afirma que nenhuma tecnologia em particular é exigida. A obrigação é um programa razoavelmente concebido e baseado no risco, cuja eficácia possa ser demonstrada, e não um mandato para comprar um modelo.

Qual é a diferença entre uma deficiência de conceção e uma falha de implementação?

Uma deficiência de conceção significa que o programa escrito nunca foi razoavelmente adaptado aos riscos da instituição. Uma falha de implementação significa que o programa foi concebido corretamente e depois não foi seguido em aspetos materiais. A proposta trata estas como constatações diferentes, e é por isso que importa conseguir mostrar tanto a fundamentação da conceção como a prova de funcionamento.

O que deve uma ferramenta de IA deixar para um inspetor?

Os documentos analisados, a informação de rastreio disponível na altura, as questões identificadas, a decisão do revisor, e uma forma de rastrear afirmações materiais em qualquer síntese gerada até à prova de origem. Anulações e correções devem ser registadas. Uma síntese que não possa ser verificada não é um trilho de auditoria.

Onde deve uma pequena equipa de compliance começar com IA?

Num único gargalo operacional: revisão documental, reconciliação de nomes e moradas, ou prova de rastreio mal organizada. Defina a melhoria que espera, teste-a em ficheiros incompletos e titularidade complexa, e mantenha uma forma de pausar a ferramenta se a qualidade cair. Não comece com um modelo que desbloqueia alertas que o revisor não consegue reconstruir.

Em Resumo

A proposta da FinCEN recentra os programas AML no risco e na prova de que o programa funciona. A IA só é útil nesse mundo onde prepara um ficheiro melhor, torna visíveis as questões por resolver e deixa um rasto que um revisor possa defender.

Comece por um problema concreto. Teste-o. Mantenha o humano responsável pela decisão.